НЕЗАВИСИМЫЕ ИНСТРУМЕНТЫ БЕЗОПАСНОСТИ PHP
Точная оценка начинается с версии. Сравните PHP с порогом исправления PHP2Shell и найдите следующий шаг для своей среды.
Конфиденциально: введённые данные остаются в браузере.
PHP - лучший язык в мире
01 / ПРОВЕРКА ВЕРСИИ
Вставьте версию PHP, вывод php -v или по одной версии в строке. Это сравнение версий, а не проверка эксплуатации.
PHP2SHELL / FRAMEWORK / CMS
Устраните PHP2Shell на сайте, в блоге или магазине: определите рабочий PHP, проверьте совместимость, устраните препятствия и подтвердите исправления CVE-2026-109618 и CVE-2026-109619.
PHP2SHELL / Инструменты PHP2Shell
Проверяйте публичные сайты, локальные настройки и журналы или выбирайте открытые инструменты. Каждый результат объясняет основания и ограничения.
Проверяйте публичные сайты, локальные настройки и журналы или выбирайте открытые инструменты. Каждый результат объясняет основания и ограничения.
01PHP выполняет WordPress, Laravel и плагины. Обновление плагина не обновляет PHP. Две ошибки памяти могут превратить неправильную очистку запроса в утечку или выполнение кода. Публичная проверка даёт лишь признаки; действующую Web-среду и патч подтверждает администратор.
02Странный multipart или WAF-событие может означать попытку. OOM, SIGSEGV/SIGABRT и всплески HTTP 500 бывают обычными сбоями. Неожиданные дочерние PHP-процессы, соединения, файлы и аккаунты требуют расследования. Утечка памяти может не оставлять webshell и файлов; чистое сканирование её не исключает.
03Запишите время, домен, инстанс, среду, симптомы и последнее доверенное состояние. Экспортируйте исходные логи с поясами, облачный аудит и доступные разрешённые снимки. Ограничьте копии и запишите хеши. Не отправляйте Cookie, токены и клиентские данные публичным сканерам. Не очищайте логи и не удаляйте файлы до сохранения.
04Исследования объясняют ошибки между запросами. CVE-2026-109618 демонстрирует mod_php-RCE; подверженность FPM основана на коде, без полного FPM-эксплойта этой CVE. CVE-2026-109619 отдельно подтверждает зависимый от приложения FPM upload-progress-путь. Доказательства для каждой SAPI смотрите в соответствующей GHSA.
05Cloudflare описывает совместный анализ запроса и ответа origin с блокировкой подозрительного ответа до утечки. Это важно и без запуска shell. Историческое развёртывание не гарантирует вашу защиту: проверьте правила, маршрут, исключения и события. Прямой origin и узлы без прокси также требуют патча.
02 / БАЗА ИСПРАВЛЕНИЙ
Опубликовано командой безопасности PHP 21 октября 2026 года. Сравнивайте в пределах своей ветки.
PHP.net ↗
| Ветка PHP | Исходные версии ниже | Первая исправленная версия | Конец обновлений безопасности |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 дек. 2029 г. |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 дек. 2028 г. |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 дек. 2027 г. |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 дек. 2026 г. |
Обычных выпусков PHP для этих веток нет. Минимальные бэкпорты исходников доступны для 7.4, 8.0 и 8.1. Поддержку поставщика проверяйте отдельно. Читать руководство ↗
03 / ОТ ПРОВЕРКИ К ИСПРАВЛЕНИЮ
Определите каждый интерпретатор, источник пакетов и обработчик сайта.
Установите исправленную сборку или документированный бэкпорт.
Замените активные процессы и проверьте все экземпляры.
Найдите php*-common и пакет Web-handler.
Читать руководствоРазличайте пакеты ОС, потоки приложений и сторонние источники.
Читать руководствоПерезапуск того же контейнера патч не устанавливает.
Читать руководствоPHP панели может отличаться от системного.
Читать руководствоОбновление WordPress, Drupal или Joomla не заменяет PHP.
Читать руководствоPHP2SHELL / CVE
PHP2Shell - ошибки безопасности памяти в самом PHP. Обновлённое приложение может работать на неисправленном интерпретаторе.
CVE-2026-109618 связан с ранним выходом при OOM: частично инициализированная память используется при очистке. Патч вводит мягкую и жёсткую обработку памяти. Полный RCE подтверждён на mod_php. FPM считается подверженным прикладным путям, но полный эксплойт для этой CVE не заявлен.
Читать руководство ↗CVE-2026-109619 оставляет ссылки на освобождённую память запроса. Следующий запрос тому же worker может использовать их до инициализации. Подтверждены пути через fatal backtrace PHP 8.5 и прогресс загрузки сессии. RCE проверен для mod_php и подходящего прикладного пути FPM.
Читать руководство ↗Нет. FPM завершает дочерний процесс при неудачном старте запроса, блокируя некоторые стартовые последовательности. Прикладные и межзапросные пути остаются. Демонстрация mod_php не означает одинаковые условия повсюду; FPM также не отменяет обновление.
Ubuntu, Debian и корпоративный Linux могут оставить старый исходный номер с новой ревизией. Баннер 8.3.6 ничего сам по себе не доказывает. Сопоставьте ОС, репозиторий, архитектуру и установленный пакет с ОБЕИМИ CVE. Пороговые ревизии здесь не выдумываются.
Обычных выпусков проекта нет. Минимальные исходные бэкпорты 7.4, 8.0 и 8.1 - исключение; сборка и проверка лежат на операторе. ОС- и LTS-поставщик может поддерживать пакет. Исследования охватывают версии от 5.4 при разных условиях. Мигрируйте и подтверждайте временные патчи.
Только полный патч закрывает варианты. Настройки могут повлиять на загрузки, производительность и доступность. Применяйте административно до разбора запроса и перезапускайте все worker. Читайте оба уведомления. CDN и WAF не доказывают исправление PHP.
Начните с версии. Опирайтесь на доказательства. Проверьте процессы, обслуживающие сайт.